MacOS : un été sous la menace persistante des cleptogiciels

Tout début juin, Marcelo Rivero, de Malwarebytes, tombait sur LumaNotch. Une jolie application pour l'encoche des MacBook ? Que nenni : un clone de DynamicHorizon qui cachait en réalité un cleptogiciel, NovaStealer.

Le signe qui le trahissait : une technique dite « ClickFix » visant à conduire l'utilisateur à exécuter une ligne de commande pour, soit-disant, installer le logiciel, mais en fait télécharger et déclencher un infostealer ; l'un de ces logiciels malveillants conçus pour volet les identifiants stockés sur l'ordinateur. Apple a ajouté à macOS 26.4 des mécanismes de protection, mais sans trop de surprise, les malveillants se sont vite attelés à les contourner.

LumaNotch a notamment été promu via des publicités sur X (ex-Twitter). Malgré plusieurs sollicitations, le réseau social n'est pas, à ce jour, intervenu. Et les acteurs qui faisaient la promotion de LumaNotch ne manquent pas de suite dans les idées. Depuis, ils ont renommé leur compte en PulseNotch et poussent désormais un prétendu utilitaire de nettoyage de macOS, Nook. Un clone de Mole, en réalité, cachant un autre cleptogiciel, PamStealer. Ce dernier est également caché dans une autre fausse application copiant Mole, Scoppr, également poussé... via des publicités sur X.

Si Scoppr dispose de son propre compte sur ce réseau social, il semble toutefois lié à la campagne LumaNotch/Nook : selon les constatations de Marcelo Rivero, Coppr utilise le même centre de commande et de contrôle (C2) que Nook.

Et cela ne s'arrête pas là. Un quatrième vient de faire son apparition : Nancy, qui plagie... Maccy (.app pour l'application légitime), un gestionnaire de presse-papier. Ce n'est pas la première fois : début juillet, les équipes de Jamf ont décortiqué... PamStealer, qui se cachait déjà sous un prétendu clone de Maccy.

L'astuce? Le code malveillant est distribué dans une image disque, un fichier DMG. Là, les instructions sont simples : double-cliquer sur l'icône et puis la combinaison de toucher commande+R. Que cela cache-t-il ? En double-cliquant sur l'icône, l'utilisateur charge un script dans l'Éditeur de Script. Le raccourci en lance l'exécution.

Les premières lignes du script, visibles dans la fenêtre de l'Éditeur de Script paraissent anodines : la véritable charge utile est cachée loin, bien plus loin, après de nombreuses lignes vides. Et bien sûr, elle est maquillée.

PamStealer embarque de quoi éviter de s'attaquer aux pays de la CEI et se fait passer pour... le Finder dans la liste des tâches actives. Il demande à l'utilisateur un accès complet au disque, mais pas tout de suite : il attend patiemment 40 minutes pour cela. De quoi réduire la vigilance de l'utilisateur, qui se fera dépecer de ses identifiants et autres jetons de session sans s'en rendre compte.